Eine mutmaßlich mit dem Iran verbundene Cyberspionage-Gruppe namens Mirage Kitten nimmt verstärkt Softwareentwickler in sensiblen Branchen ins Visier.
Berichten von Sicherheitsforschern zufolge nutzt die Gruppierung gezielt gefälschte Stellenanzeigen auf der Plattform LinkedIn, um Spezialisten aus den Bereichen Luftfahrt, Luft- und Raumfahrt sowie der Finanztechnologie (Fintech) anzugreifen. Betroffen seien insbesondere Fachkräfte in Ägypten, Äthiopien und Afghanistan.
Neue Malware-Varianten NodeRabbit und PollCat entdeckt
Sicherheitsexperten von Kaspersky identifizierten im Rahmen dieser Kampagnen zwei neue Schadprogramme: den Remote-Access-Trojaner (RAT) NodeRabbit sowie die JavaScript-basierte Malware PollCat. NodeRabbit zeichne sich durch seine plattformübergreifende Einsetzbarkeit auf Windows-, Linux- und macOS-Systemen aus.
Die Angreifer nutzen für die Steuerung der Infektionen eine Azure-basierte Command-and-Control-Infrastruktur (C2). Erste Spuren von NodeRabbit seien in Afghanistan entdeckt worden, woraufhin weitere Varianten in Ägypten und Äthiopien auftauchten. PollCat hingegen basiere auf verschleiertem (obfuskierem) JavaScript-Code.
Die Gruppe Mirage Kitten, die bereits seit dem Jahr 2022 aktiv ist, setzt bei ihren Angriffen auf trojanisierte Programmieraufgaben („Coding Challenges“). Diese manipulierten Dateien werden auf Amazon S3 gehostet. Potenzielle Opfer werden über LinkedIn kontaktiert und dazu verleitet, diese Aufgaben im Rahmen eines vermeintlichen Bewerbungsprozesses herunterzuladen, wodurch die Malware in die Systeme der Entwickler eingeschleust wird.
Wer sich mit den neuesten Methoden von Cyberspionage-Gruppen befasst, sollte auch die aktuellen rechtlichen Pflichten und Bedrohungsszenarien für den eigenen Betrieb kennen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Sicherheitsrisiken Unternehmer jetzt kennen müssen. Neue KI-Gesetze, neue Cyberrisiken: Was kommt wirklich auf Ihr Unternehmen zu?
China-nahe Gruppe Fire Ant weitet Zielspektrum aus
Parallel zu den Aktivitäten von Mirage Kitten beobachten Analysten die Operationen einer weiteren Gruppe namens Fire Ant, die mutmaßlich mit China in Verbindung steht und Überschneidungen mit dem Akteur UNC3886 aufweist.
Diese Gruppe hat ihr Zielspektrum seit dem Jahr 2025 deutlich erweitert. Während früher primär VMware-Hypervisoren im Fokus standen, konzentrieren sich die Angriffe im Jahr 2026 verstärkt auf Cisco IOS XR-Router, Linux-Hosts und TACACS-Authentifizierungsserver.
Das Unternehmen Sygnia warnte Ende August vor dem Einsatz der Malware TacTap durch Fire Ant. Diese werde direkt in den TACACS+-Dienst injiziert und könne Maßnahmen zur Überwachung der Dateiintegrität umgehen.
Zudem nutze die Gruppe eine Backdoor namens BridgeAgent, die sich als legitimer Zabbix-Agent tarne. Um unbemerkt Daten per FTP zu exfiltrieren, erstelle Fire Ant versteckte GRE-Tunnel, die in der regulären Systemkonfiguration nicht sichtbar seien.
Die zunehmende Professionalität bei der Infiltration kritischer Infrastrukturen zeigt, wie wichtig eine proaktive Absicherung für Unternehmen geworden ist. Experten erklären in diesem kostenlosen E-Book, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. IT-Sicherheit stärken ohne teure Investitionen: So schützen clevere Unternehmer ihre Firma vor Cyberangriffen
Hochentwickelte Verschleierung und Infrastruktur-Sondierung
Fire Ant geht bei der Infiltration äußerst methodisch vor, um Entdeckung zu vermeiden. Die Gruppe unterdrücke gezielt Systemprotokolle (Syslog), manipuliere Zeitstempel und verändere die Ausgaben der Kommandozeile (CLI), um Beweise für ihre Anwesenheit zu vernichten. Sicherheitsanalysten zufolge sondiere die Gruppe zudem systematisch kritische Infrastrukturen über SSH-Verbindungen, Web-Schnittstellen sowie SMB- und RDP-Protokolle.
Angesichts dieser Entwicklungen warnen IT-Sicherheitsexperten vor sogenannten „Target behind the Target“-Szenarien. Dabei dient die Kompromittierung eines Systems oder Dienstleisters lediglich als Brückenkopf für Angriffe auf tieferliegende, wertvollere Ziele. Sicherheitsverantwortlichen wird geraten, TACACS-Server als besonders kritische Komponenten (Tier-0-Assets) einzustufen und die Überwachung dieser Systeme drastisch zu verschärfen.
